Acceso de terceros

La publicación 800-207 aclara que sus principios se aplican al trabajo dentro de la organización y al que se hace en colaboración con otras organizaciones, aunque la empresa no puede imponer sus políticas a actores externos. La consecuencia práctica es que a un tercero se le diseña un acceso a medida: a los recursos que de verdad necesita para su servicio, por un tiempo, con su propia identidad y su registro.

El acceso heredado de una VPN de sitio a sitio hace lo contrario: une dos redes y deja que el tercero llegue a cualquier cosa que ese túnel alcance.

La política de terceros de Maderas del Tolima dice que el acceso de un tercero vence con su contrato. Una política que no tiene un mecanismo detrás es un deseo: lo que ocurre en la práctica está en el inventario, en las columnas de vencimiento del acceso y de fin de contrato, y en el último acceso registrado.

Compara en el inventario las fechas de fin de contrato con la fecha de la revisión que da la tabla de contexto.

El alcance de un acceso es lo que determina el daño si la identidad se compromete. Una columna del inventario dice hasta dónde llega cada tercero y otra, lo que de verdad toca para cumplir su servicio. Cuando alcance y necesidad se parecen, el acceso es proporcionado; cuando el primero es mucho mayor que la segunda, el exceso es riesgo gratuito.

Compara las dos columnas y localiza al tercero cuyo alcance es la red entera de la planta.

Medir el exceso en días convierte un hallazgo en un número que se puede poner en un informe y en un indicador. La cuenta es la diferencia entre la fecha de la revisión y la del fin del contrato, contando los días reales de cada mes. Revisa también el registro de sesiones: lo que ese tercero hizo en ese tiempo importa más que el tiempo mismo.

Calcula cuántos días han pasado desde el fin del contrato del tercero que conserva el acceso hasta la fecha de la revisión.

El proveedor de mantenimiento es necesario: el contrato corre hasta 2028 y las sierras tienen que mantenerse. La respuesta que más reduce el riesgo con menos costo no es cancelar el servicio ni cambiar la contraseña del túnel, sino reducir lo que el túnel alcanza a lo que de verdad toca, y abrirlo cuando haya una intervención programada.